搜索

[28734] 2021-01-21_发现与HigaisaAPT相关的新的LNK攻击报告

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-19
2021-01-21_发现与HigaisaAPT相关的新的LNK攻击报告 发 现 与 H i g a i s a   A P T 相 关 的 新 的 L N K 攻 击 报 告 O t s 安 全   2 0 2 1 - 0 1 - 2 1 发 表 ：   2 0 2 0 年 6 月 4 日 由 威 胁 情 报 小 组   （ T h r e a t   I n t e l l i g e n c e   T e a m ） 最 新 更 新 ： 2 0 2 0 年 7 月 1 7 日 5 月 2 9 日 ， 我 们 确 定 了 我 们 认 为 是 高 级 持 续 威 胁 演 员 H i g a i s a 发 起 的 新 运 动 的 一 部 分 攻 击 。 据 信 ， H i g a i s a   A P T 与 朝 鲜 半 岛 有 关 ， 并 于 2 0 1 9 年 初 由 腾 讯 安 全 威 胁 情 报 中 心 首 次 披 露 。 该 小 组 的 活 动 至 少 可 以 追 溯 到 2 0 1 6 年 ， 包 括 使 用 特 洛 伊 木 马 （ 例 如 G h 0 s t 和 P l u g X ） 以 及 移 动 恶 意 软 件 。 其 目 标 包 括 政 府 官 员 和 人 权 组 织 ， 以 及 与 朝 鲜 有 关 的 其 他 实 体 。 在 最 近 的 这 一 事 件 中 ， H i g a i s a 使 用 了 一 个 恶 意 快 捷 方 式 文 件 ， 该 文 件 最 终 负 责 创 建 一 个 多 阶 段 攻 击 ， 该 攻 击 由 多 个 恶 意 脚 本 ， 有 效 负 载 和 诱 饵 P D F 文 档 组 成 。 分 配 威 胁 行 为 者 使 用 了 捆 绑 在 存 档 文 件 中 的 恶 意 L N K 文 件 ， 该 文 件 很 可 能 是 通 过 鱼 叉 式 网 络 钓 鱼 分 发 的 。 我 们 能 够 确 定 此 广 告 系 列 的 两 个 变 体 ， 这 些 变 体 可 能 已 在 5 月 1 2 日 至 3 1 日 之 间 分 发 ： “   C V _ C o l l i e r s . r a r ” “ 项 目 链 接 和 新 版 权 政 策 . r a r ” 两 个 R A R 归 档 文 件 都 捆 绑 了 两 个 恶 意 L N K 文 件 。 在 较 新 的 变 体 （ C V _ C o l l i e r s . r a r ） 中 ， L N K 文 件 被 伪 装 为 简 历 （ C V ） 和 国 际 英 语 测 试 系 统 （ I E L T S ） 考 试 结 果 。 较 旧 的 版 本 （ “ 项 目 链 接 ” 和 “ 新 版 权 p o l i c y . r a r ” ） 似 乎 针 对 使 用 z e p l i n . i o 的 产 品 团 队 。 下 面 显 示 了 执 行 恶 意 L N K 文 件 时 的 总 体 处 理 流 程 。
图 1 ： 流 程 图 L N K 文 件 L N K 文 件 包 含 将 在 运 行 时 执 行 的 命 令 列 表 ， 以 及 一 个 b l o b ， 它 是 b a s e 6 4 编 码 的 压 缩 有 效 负 载 。 这 是 将 要 执 行 的 命 令 列 表 ： 图 2 ： 恶 意 的 l n k 命 令 将 L N K 文 件 的 内 容 复 制 到 ％ A P P D A T A ％ 临 时 目 录 中 的 “   g 4 Z o k y u m B 2 D C 4 . t m p ” 。 将 “   c e r t u t i l . e x e ” 的 内 容 复 制 到 “   g o s i a . e x e ” 中 （ “   *   e r t u   *   . e x e 用 于 绕 过 安 全 检 测 ” ） 。 使 用 “   f i n d s t r . e x e ” 查 找 b a s e 6 4   b l o b ， 并 将 其 写 入 “   c S i 1 r o u y 4 . t m p ” 。 使 用 “   g o s i a . e x e   - d e c o d e ” （ c e r t u t i l . e x e   - d e c o d e ） 对 “   c S i 1 r o u y 4 . t m p ” 的 内 容 进 行 解 码 ， 并 将 其 写 入 “   o 4 2 3 D F D S 4 . t m p ” 。 使 用 “   e x p a n d . e x e   - F ： * ” 在 t e m p 目 录 中 解 压 缩 “   o 4 2 3 D F D S 4 . t m p ” 的 内 容 以 及 诱 饵 的 P D F 文 档 （ 图 3 ） 。 将 “   6 6 D F 3 D F G . t m p ” 和 “   3 4 f D K f S D 3 8 . j s ” 文 件 复 制 到 “   C ：   U s e r s     P u b l i c     D o w n l o a d s ” 目 录 中 。 通 过 调 用 W s c r i p t 执 行 J S 文 件 。 打 开 诱 饵 文 件 。 图 3 ： “   o 4 2 3 D F D S 4 . t m p ”   c a b 文 件 的 内 容 该 L N K 快 捷 方 式 执 行 的 命 令 列 表 与 A n o m a l i 在 H i g a s i a   C o v i d - 1 9 运 动 中 报 告 的 命 令 列 表 相 同 。 唯 一 的 区 别 是 t m p 文 件 的 名 称 和 c e r t u t i l . e x e 的 名 称 （ 在 此 新 情 况 下 为 “   g o s i a . e x e ” ） ， 而 在 三 月 份 的 活 动 中 ， 名 称 为 “   m o s i a . e x e ” 。 归 档 文 件 中 嵌 入 的 两 个 L N K 文 件 都 使 用 不 同 的 命 令 和 控 制 （ C ＆ C ） 配 置 执 行 类 似 的 命 令 。 运 行 它 们 中 的 每 一 个 将 显 示 不 同 的 诱 饵 文 档 。
图 4 ： C V   D e c o y 文 档 图 5 ： 雅 思 考 试 成 绩 诱 饵 文 件 J S 文 件 J a v a S c r i p t 文 件 执 行 以 下 命 令 ： 在 “   C ：   U s e r s     P u b l i c     D o w n l o a d s ” 中 创 建 “   d 3 r e E W . e x e ” ， 并 将 “   c m d   /   c   i p c o n f i g ” 存 储 在 其 中 。 执 行 删 除 的 “   s v c h a s t . e x e ” 。
将 “   s v c h h a s t . e x e ” 复 制 到 启 动 目 录 ， 并 将 其 重 命 名 为 “   o f f i c e u p d a t e . e x e ” 。 将 “   o f f i c e u p d a t e . e x e ” 添 加 到 计 划 的 任 务 中 。 将 以 d 3 r e E W . e x e 作 为 数 据 的 P O S T 请 求 发 送 到 硬 编 码 的 U R L 。 图 6 ： J S 内 容 图 7 ： P O S T 请 求 s v c h a s t . e x e S v c h a s t . e x e 是 一 个 小 型 加 载 程 序 ， 它 加 载 存 储 在 “   6 6 D F 3 D F G . t m p ” 中 的 s h e l l c o d e 的 内 容 。
图 8 ： s v c h a s t . e x e 的 主 要 功 能 实 际 上 ， 此 s h e l l c o d e 是 最 终 s h e l l c o d e 的 包 装 。 它 执 行 一 些 检 查 ， 然 后 调 用 最 终 的 s h e l l c o d e 。
图 9 ： 调 用 最 终 的 s h e l l c o d e 最 终 的 s h e l l c o d e 动 态 解 析 导 入 并 为 将 要 执 行 的 内 容 分 配 内 存 。 图 1 0 ： 解 决 进 口 问 题
图 1 1 ： 为 新 线 程 分 配 内 存 最 后 ， 它 调 用 “   C r e a t e T h r e a d ” 在 其 内 存 空 间 中 创 建 一 个 线 程 ， 以 向 其 C ＆ C 服 务 器 发 出 H T T P S 请 求 。 图 1 1 ： C r e a t e T h r e a d 在 分 析 时 ， 服 务 器 已 关 闭 ， 因 此 我 们 无 法 明 确 确 定 此 攻 击 的 最 终 目 标 。 规 避 连 锁 技 术 尽 管 大 多 数 恶 意 软 件 活 动 都 使 用 简 单 的 诱 饵 文 档 来 获 取 恶 意 软 件 的 有 效 负 载 ， 但 更 高 级 的 攻 击 者 通 常 会 尝 试 使 用 非 常 规 手 段 感 染 受 害 者 。 我 们 在 实 验 室 中 使 用 电 子 邮 件 作 为 感 染 媒 介 重 现 了 这 种 攻 击 ， 因 为 我 们 推 测 受 害 者 是 被 鱼 枪 击 中 的 。 恶 意 软 件 字 节 （ 在 本 例 中 为 N e b u l a 商 业 版 本 ） 停 止 了 W i n R A R 中 L N K 文 件 的 执 行 ， 因 此 完 全 阻 止 了 攻 击 。
国 际 奥 委 会 C V _ C o l l i e r s . r a r d f 9 9 9 d 2 4 b d e 9 6 d e c d b b 6 5 2 8 7 c a 0 9 8 6 d b 9 8 f 7 3 b 4 e d 4 7 7 e 1 8 c 3 e f 1 0 0 0 6 4 b c e b a 6 d 项 目 链 接 和 新 版 权 政 策 项 目 链 接 和 新 版 权 政 策 。 r a r c 3 a 4 5 a a f 6 b a 9 f 2 a 5 3 d 2 6 a 9 6 4 0 6 b 6 c 3 4 a 5 6 f 3 6 4 a b e 1 d d 5 4 d 5 5 4 6 1 b 9 c c 5 b 9 d 9 a 0 4 履 历 履 历 _ 王 磊 王 磊 _ 香 港 理 工 大 学 香 港 理 工 大 学 . p d f . l n k   5 0 d 0 8 1 e 5 2 6 b e e b 6 1 d c 6 1 8 0 f 8 0 9 d 6 2 3 0 e 7 c c 5 6 d 9 a 2 5 6 2 d d 0 f 7 e 0 1 f 7 c 6 e 7 3 3 8 8 d 9 T o k b o x 图 标 图 标 – 几 率 和 终 点 几 率 和 终 点 –   i O S   –   Z e p l i n . l n k 1 0 7 4 6 5 4 a 3 f 3 d f 7 3 f 6 e 0 f d 0 a d 8 1 5 9 7 c 6 6 2 b 7 5 c 2 7 3 c 9 2 d c 7 5 c 5 a 6 b e a 8 1 f 0 9 3 e f 8 1 国 际 英 语 测 试 系 统 证 书 国 际 英 语 测 试 系 统 证 书 . p d f . l n k   c 6 1 3 4 8 7 a 5 f c 6 5 b 3 b 4 c a 8 5 5 9 8 0 e 3 3 d d 3 2 7 b 3 f 3 7 a 6 1 c e 0 8 0 9 5 1 8 b a 9 8 b 4 5 4 e b f 6 8 b 简 历 简 历 _ 王 磊 王 磊 _ 香 港 理 工 大 学 香 港 理 工 大 学 . p d f . l n k   d c d 2 5 3 1 a a 8 9 a 9 9 f 0 0 9 a 7 4 0 e a b 4 3 d 2 a a 2 b 8 c 1 e d 7 c 8 d 7 e 7 5 5 4 0 5 0 3 9 f 3 a 2 3 5 e 2 3 a 6 会 话 会 话 –   i O S   – 滑 动 图 标 滑 动 图 标 –   Z e p l i n . l n k
c 0 a 0 2 6 6 f 6 d f 7 f 1 2 3 5 a e b 4 a a d 5 5 4 e 5 0 5 3 2 0 5 6 0 9 6 7 2 4 8 c 9 c 5 c c e 7 4 0 9 f c 7 7 b 5 6 b d 5 C 2 域 （ 域 （ i p c o n f i g 渗 透 ） 渗 透 ） s i x i n d e n t   [ 。 ]   e p i z y   [ 。 ]   c o m g o o d h k   [ 。 ]   a z u r e w e b s i t e s   [ 。 ]   n e t z e p l i n   [ 。 ]   a t w e b p a g e s   [ 。 ]   c o m s v c h a s t . e x e 使 用 的 使 用 的 C 2 4 5 . 7 6 . 6   [ 。 ]   1 4 9 w w w . c o m c l e a n n e r   [ 。 ]   i n f o 斜 接 A T T ＆ C K 技 术 战 术 战 术 I D 名 称 名 称 细 节 细 节 执 行 T 1 0 5 9 命 令 行 界 面 启 动 C M D . E X E 以 执 行 命 令 （ W i n R A R . e x e ， w s c r i p t . e x e ） T 1 1 0 6 通 过 A P I 执 行 应 用 程 序 （ A c r o R d 3 2 . e x e ） 自 行 启 动 T 1 0 5 3 计 划 任 务 加 载 任 务 计 划 程 序 D L L 接 口 （ O f f i c e u p d a t e . e x e ） T 1 0 6 4 脚 本 编 写 执 行 脚 本 （ 3 4 f D F k f S D 3 8 . j s ） T 1 2 0 4 用 户 执 行 用 户 手 动 执 行 （ 打 开 L N K 文 件 ） 坚 持 不 懈 T 1 0 6 0 注 册 表 运 行 键 / 启 动 文 件 夹 写 入 开 始 菜 单 文 件 （ O f f i c e u p d a t e . e x e ） T 1 0 5 3 计 划 任 务 使 用 任 务 计 划 程 序 运 行 其 他 应 用 程 序 （ O f f i c e u p d a t e . e x e ） 特 权 提 升 T 1 0 5 3 计 划 任 务 使 用 任 务 计 划 程 序 运 行 其 他 应 用 程 序 （ O f f i c e u p d a t e . e x e ） 防 御 规 避 T 1 0 6 4 脚 本 编 写 执 行 脚 本 （ 3 4 f D F k f S D 3 8 . j s ） T 1 1 4 0 去 混 淆 / 解 码 文 件 或 信 息 c e r t u t i l 解 码 B a s e 6 4 二 进 制 文 件 ， e x p a n d . e x e 解 压 缩 C A B 文 件 发 现 T 1 0 1 2 查 询 注 册 表 从 注 册 表 中 读 取 计 算 机 G U I D T 1 0 8 2 系 统 信 息 发 现 从 注 册 表 中 读 取 计 算 机 G U I D T 1 0 1 6 系 统 网 络 配 置 发 现 使 用 I P C O N F I G . E X E 发 现 I P 地 址 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理